Umowa Powierzenia Przetwarzania Danych Osobowych - Notatka Lekarza

Umowa Powierzenia Przetwarzania Danych Osobowych

(art. 28 RODO)

Zawarta w , dnia r., pomiędzy:

ADMINISTRATOREM DANYCH:

(nazwa placówki / praktyki lekarskiej)

z siedzibą: (ulica, nr budynku/lokalu, kod pocztowy, miejscowość)

NIP: (NIP placówki)

REGON: (REGON placówki)

reprezentowaną przez: (imię i nazwisko, stanowisko)

(dalej: „Administrator")

PROCESOREM DANYCH:

Instytut Cyfrowej Medycyny Spółka z ograniczoną odpowiedzialnością
z siedzibą: ul. Stanisława Leszczyńskiego 4/29, 50-078 Wrocław
NIP: 8971973330
REGON: 544942614
KRS: 0001245570
reprezentowaną przez: Bartosz Kuniński (Prezes Zarządu)
(dalej: „Procesor")

§ 1. Przedmiot umowy

Administrator powierza Procesorowi przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi Notatka Lekarza - systemu wspomaganego sztuczną inteligencją do transkrypcji i dokumentacji wizyt medycznych.
Procesor przetwarza dane wyłącznie na udokumentowane polecenie Administratora, chyba że obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego.
Niniejsza umowa stanowi realizację obowiązku, o którym mowa w art. 28 ust. 3 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).

§ 2. Zakres i charakter przetwarzania

Rodzaj danych osobowych:

dane identyfikacyjne pacjentów (imię, nazwisko, data urodzenia, PESEL - jeśli pojawiają się w nagraniu lub notatce)
dane o stanie zdrowia (kategoria szczególna w rozumieniu art. 9 RODO): objawy, rozpoznania, badania, zalecenia lekarskie
nagrania dźwiękowe rozmowy podczas wizyty
transkrypcje nagrań
wygenerowane szkice notatek SOAP

Kategorie osób, których dane dotyczą:

pacjenci Administratora

Cel przetwarzania:

transkrypcja nagrania wizyty lekarskiej przy użyciu systemu automatycznego rozpoznawania mowy
wygenerowanie szkicu dokumentacji medycznej (format SOAP) przez system AI
umożliwienie lekarzowi weryfikacji i zatwierdzenia notatki
chwilowe przechowanie danych w celu realizacji powyższych operacji

Charakter przetwarzania:

przetwarzanie automatyczne (transkrypcja, generowanie tekstu)
przetwarzanie jest niezbędne do wykonania umowy o świadczenie usługi

§ 3. Obowiązki Procesora

Procesor zobowiązuje się do:

Poufności - przetwarzania danych wyłącznie w celu określonym w § 2 i nieujawniania ich osobom trzecim bez zgody Administratora, z wyjątkiem podprocesorów wymienionych w § 5.
Zgodności z poleceniami - przetwarzania danych zgodnie z udokumentowanymi poleceniami Administratora.
Bezpieczeństwa - wdrożenia odpowiednich środków technicznych i organizacyjnych (Załącznik nr 1 - TOM).
Ograniczenia dostępu - zapewnienia, że dostęp do danych mają wyłącznie osoby upoważnione, które przyjęły na siebie obowiązek zachowania tajemnicy.
Wsparcia - udzielania pomocy Administratorowi w realizacji praw osób, których dane dotyczą (art. 32-36 RODO).
Usunięcia danych - po zakończeniu świadczenia usług trwałego usunięcia danych lub zwrotu ich Administratorowi, w zależności od wyboru Administratora, chyba że prawo unijne lub polskie nakłada obowiązek przechowywania.
Udostępniania informacji - dostarczania Administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków wynikających z art. 28 RODO oraz umożliwiania audytów.

§ 4. Lokalizacja i transfer danych

Wszelkie dane osobowe przetwarzane w ramach niniejszej umowy są przechowywane wyłącznie w Unii Europejskiej lub Europejskim Obszarze Gospodarczym.
Infrastruktura Procesora:
- Serwer aplikacji i baza danych: Supabase (AWS eu-west-1, Irlandia) - dane konfiguracyjne i notatki
- Serwer transkrypcji audio (GPU): Verda Cloud, Helsinki, Finlandia - przetwarzanie nagrań dźwiękowych
- Dostawca usług e-mail: Resend (EU region) - powiadomienia systemowe, bez treści medycznych
Nagrania dźwiękowe wizyt nie są przesyłane poza Unię Europejską. Nagranie nie jest trwale przechowywane ani zapisywane w bazie danych - istnieje wyłącznie ulotnie, w pamięci serwera, na czas wykonania transkrypcji, po czym jest bezzwłocznie usuwane. Do bazy trafia jedynie tekst (transkrypcja i szkic notatki).
Procesor nie dokonuje transferu danych do państw trzecich w rozumieniu art. 44 RODO.

§ 5. Podprocesory

Procesor korzysta z usług następujących podprocesorów:

Podmiot	Rola	Lokalizacja	Podstawa transferu
Supabase (AWS eu-west-1)	Baza danych, auth	UE (Irlandia)	Art. 28 RODO, DPA Supabase
Verda Cloud (DataCrunch)	Transkrypcja audio (GPU)	UE (Finlandia)	Art. 28 RODO, DPA Verda; ISO 27001, SOC 2
Resend Inc.	Wysyłka e-mail (powiadomienia)	UE	Art. 28 RODO, DPA Resend
Ollama (qwen2.5 14B, self-hosted)	Generowanie notatki SOAP (LLM)	UE (Finlandia, Verda Cloud)	Ten sam serwer co transkrypcja - dane nie opuszczają EU

Procesor informuje Administratora z co najmniej 14-dniowym wyprzedzeniem o planowanych zmianach dotyczących podprocesorów. Administrator ma prawo wnieść sprzeciw.
Procesor zawiera z każdym podprocesorem umowę powierzenia przetwarzania danych na warunkach nie mniej rygorystycznych niż niniejsza umowa.

§ 6. Retencja danych

Kategoria danych	Czas przechowywania	Sposób usunięcia
Nagranie audio wizyty	Nie jest przechowywane - przetwarzane ulotnie w pamięci na czas transkrypcji, nie zapisywane do bazy danych	Bezzwłoczne usunięcie po zakończeniu transkrypcji
Transkrypcja tekstowa	Do końca dnia roboczego (cron 23:59 CET) - po zatwierdzeniu notatki przez lekarza	Automatyczne soft-delete + hard-delete cron
Szkic notatki SOAP	Do zatwierdzenia przez lekarza i skopiowania do systemu EDM - maksymalnie do końca dnia	Automatyczny purge 23:59 CET
Dane konfiguracyjne gabinetu (nazwa, login haszowany)	Przez czas obowiązywania umowy	Usunięcie na żądanie lub po wypowiedzeniu
Logi techniczne (IP, zdarzenia auth)	Do 365 dni (wymóg operacyjny Verda) - bez treści medycznych	Automatyczne

§ 7. Środki bezpieczeństwa (skrót - pełny opis w Załączniku nr 1)

Szyfrowanie transmisji: HTTPS/TLS dla wszystkich połączeń klient-serwer.
Uwierzytelnianie: JWT cookie z podpisem HS256, PIN lekarza (bcrypt), hasło gabinetu (bcrypt).
Izolacja danych: notatki są filtrowane per lekarz (profilId), per gabinet (gabinetId).
Firewall: Verda GPU worker dostępny wyłącznie z zakresu IP serwera aplikacji.
Usuwanie nagrań: nagranie nie jest przechowywane (przetwarzane ulotnie, usuwane bezzwłocznie po transkrypcji); cron 23:59 usuwa notatki tekstowe.
Logi dostępu: logowanie zdarzeń auth na poziomie serwera.
MFA: konta administracyjne chronione MFA.
Aktualizacje: regularne aktualizacje zależności i systemu operacyjnego serwera.

§ 8. Prawa osoby, której dane dotyczą

W przypadku żądania pacjenta dotyczącego jego praw (dostęp, sprostowanie, usunięcie, przenoszenie), Administrator kontaktuje się z Procesorem na adres: kontakt@notatkalekarza.pl.
Procesor udziela Administratorowi pomocy technicznej w terminie 5 dni roboczych od zgłoszenia.
Procesor nie odpowiada bezpośrednio na żądania pacjentów - kieruje ich do Administratora.

§ 9. Naruszenia bezpieczeństwa danych

W przypadku wykrycia naruszenia ochrony danych osobowych Procesor niezwłocznie, nie później niż w ciągu 24 godzin, zawiadamia Administratora, przekazując:
- opis charakteru naruszenia
- kategorie i przybliżoną liczbę osób i rekordów
- możliwe konsekwencje naruszenia
- podjęte lub planowane działania zaradcze
Administrator samodzielnie ocenia, czy naruszenie wymaga zgłoszenia do Prezesa UODO (art. 33 RODO) i/lub zawiadomienia osób (art. 34 RODO).
Kontakt do Procesora w sprawach bezpieczeństwa: kontakt@notatkalekarza.pl

§ 10. Audyt i kontrola

Administrator lub wyznaczony przez niego audytor ma prawo do przeprowadzenia audytu zgodności z niniejszą umową, po uprzednim powiadomieniu Procesora z co najmniej 14-dniowym wyprzedzeniem.
Procesor udostępni niezbędną dokumentację i umożliwi wgląd w stosowane środki bezpieczeństwa, z zastrzeżeniem ochrony tajemnic handlowych.
Koszty audytu ponosi Administrator, chyba że wykaże naruszenie umowy przez Procesora.

§ 11. Czas obowiązywania i zakończenie

Umowa obowiązuje przez czas trwania umowy głównej o świadczenie usługi Notatka Lekarza.
Po zakończeniu umowy Procesor, w terminie 30 dni, trwale usuwa wszystkie dane Administratora z systemów i potwierdza to pisemnie (e-mail).
Dane, których obowiązek przechowywania wynika z przepisów prawa (np. logi techniczne), są usuwane po upływie ustawowego okresu retencji.

§ 12. Odpowiedzialność

Procesor ponosi odpowiedzialność wobec Administratora za szkody wyrządzone na skutek naruszenia niniejszej umowy lub przepisów RODO przez Procesora lub jego pracowników i podwykonawców.
Odpowiedzialność Procesora jest ograniczona do kwoty wynagrodzenia zapłaconego przez Administratora za ostatnie 12 miesięcy świadczenia usługi.
Żadna ze stron nie ponosi odpowiedzialności za szkody wynikłe z działania siły wyższej.

§ 13. Postanowienia końcowe

Wszelkie zmiany niniejszej umowy wymagają formy pisemnej lub elektronicznej (e-mail z potwierdzeniem obu stron) pod rygorem nieważności.
W sprawach nieuregulowanych niniejszą umową stosuje się przepisy RODO oraz Kodeksu cywilnego.
Spory rozstrzygane będą przez sąd właściwy dla siedziby Procesora.
Umowę sporządzono w dwóch jednobrzmiących egzemplarzach, po jednym dla każdej ze stron.

Podpisy

Administrator danych:

(podpis i pieczęć osoby reprezentującej placówkę)
Data:

Procesor danych:

Bartosz Kuniński
Instytut Cyfrowej Medycyny Sp. z o.o.
Data:

Załącznik nr 1 - Środki Techniczne i Organizacyjne (TOM)

A. Środki techniczne

Obszar	Środek
Transmisja danych	HTTPS/TLS 1.2+ dla wszystkich połączeń publicznych
Przechowywanie danych	Supabase (EU): szyfrowanie at-rest (AES-256), zarządzane przez Supabase/AWS
Transkrypcja audio + generowanie notatki	Verda Cloud GPU (FIN-01, Helsinki) - Whisper large-v3 + qwen2.5 14B, self-hosted Docker, SSH-only access, firewall deny-by-default; dane nie opuszczają serwera EU
Usuwanie nagrań	Nagranie nie jest zapisywane na nośniku trwałym ani w bazie - przetwarzane ulotnie w pamięci, usuwane bezzwłocznie po transkrypcji; cron 23:59 CET usuwa notatki tekstowe i zamyka sesje
Uwierzytelnianie	JWT cookie HS256 (24h TTL), bcrypt hashing haseł (work factor 10+), PIN lekarza (bcrypt)
Izolacja danych	Filtrowanie notatek per profilId i gabinetId na poziomie serwera (Next.js API)
Firewall	Verda GPU worker: dozwolone połączenia tylko z zakresu IP aplikacji
Logi	Logi zdarzeń auth (Supabase), logi dostępu SSH (Verda, 365 dni - bez treści medycznych)
Dependency management	Regularne aktualizacje pakietów npm i systemu OS serwera GPU

B. Środki organizacyjne

Obszar	Środek
Dostęp pracowników	Zasada minimalnych uprawnień (least privilege); dostęp tylko dla osób prowadzących projekt
MFA	Konta administracyjne (Supabase, Verda, Vercel) chronione uwierzytelnianiem dwuskładnikowym
Dokumentacja	Rejestr czynności przetwarzania, niniejsza umowa DPA, procedura incydentów
Szkolenia	Osoby mające dostęp do systemu zapoznane z zasadami ochrony danych medycznych
Incydenty	Procedura: wykrycie → 24h zawiadomienie Administratora → dokumentacja → działania naprawcze
Onboarding klientów	Przed aktywacją gabinetu: podpisanie DPA, naklejki RODO w gabinecie, skrypt zgody pacjenta
Offboarding	Po zakończeniu umowy: usunięcie gabinetów z DB, potwierdzenie pisemne w 30 dni
Podprocesory	Umowy DPA z każdym podprocesorem; powiadomienie Administratora przed zmianą podprocesora

C. Architektura przepływu danych

Przeglądarka lekarza (HTTPS)
    -> audio (multipart, Bearer token, TLS)
Vercel / Next.js API (EU region)
    -> audio
Verda GPU Worker - Helsinki, Finlandia
    [Whisper large-v3] -> transkrypt tekstowy
    [qwen2.5 14B, Ollama] -> notatka SOAP
    -> transkrypt + notatka (text only)
Vercel / Next.js API
    ->
Supabase PostgreSQL - AWS eu-west-1, Irlandia (notatka tekstowa)
    ->
Przeglądarka lekarza (wyświetlenie, weryfikacja, kopiowanie do EDM)

Nagranie audio: w przeglądarce lekarza istnieje wyłącznie w pamięci RAM, jest przesyłane do Verda w celu transkrypcji i nie jest tam trwale przechowywane - przetwarzane ulotnie na czas transkrypcji i bezzwłocznie usuwane. Nagranie nigdy nie trafia do bazy danych (Supabase). Całe przetwarzanie AI (transkrypcja + notatka) odbywa się na jednym serwerze EU bez transferu do zewnętrznych API.

Pola z kropkami uzupełnia placówka (Administrator) - opis pod każdym polem wskazuje, co wpisać. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach.

Wzór umowy powierzenia danych (DPA)